Майнинговую видеокарту NVIDIA CMP 170HX с 8 ГБ доступной памяти превратили в аналог серверного ускорителя A100 с 80 ГБ. Исследовательница обошла аппаратные ограничения с помощью кратковременных провалов напряжения, а в одном тесте модернизированная карта даже обогнала заводскую A100.
Эксперимент провела исследовательница Кейт, опубликовавшая результаты 10 ноября. Оба устройства используют графический чип GA100, но NVIDIA программирует его при производстве под разные задачи. У CMP 170HX, предназначенной для майнинга Ethereum, часть вычислительных блоков и функций отключена, а пользователю доступна лишь малая доля установленной памяти HBM.
Ограничения задают электронные предохранители eFuse. В GA100 предусмотрено 16 384 таких элемента, а их состояния определяют доступность памяти, вычислительных модулей и интерфейсов. После заводского программирования часть настроек изменить нельзя обычными командами. Ранее программный инструмент cmpunlocker уже позволял расширить память версии CMP 170HX 8GB до 64 ГБ, но не снимал все аппаратные блокировки.
Кейт применила глитчинг питания. Во время запуска видеокарты специальная плата на базе микроконтроллера STM32G4 кратковременно меняет напряжение на чипе. В удачном состоянии контроллер предохранителей неверно считывает параметры защиты, после чего исследовательница получает возможность записывать новые значения и включать ранее заблокированные блоки.
Для эксперимента пришлось подключить к плате два провода, изменить соединение с регулятором питания и многократно перезапускать устройство. По оценке автора, поиск удачной последовательности занимает от одного до 48 часов. Метод зависит от конкретного экземпляра чипа, а неверные параметры способны нарушить его работу. Следовательно, простым обновлением драйвера повторить эксперимент нельзя.
Результат оказался заметным. Вместо штатных 70 вычислительных мультипроцессоров SM исследовательница смогла задействовать примерно 120–126 исправных блоков. В тесте операций FP16 модернизированная CMP 170HX достигла 85,861 TFLOPS против 72,488 TFLOPS у серийной A100, то есть примерно на 18% больше. Сравнение относится к конкретному тесту, а не ко всем задачам искусственного интеллекта.
На девяти из десяти изученных CMP 170HX 8GB исследовательница обнаружила физически работоспособные 80 ГБ памяти; у оставшейся карты доступны только 64 ГБ. Разблокированную память проверили синтетическими тестами и нагрузками vLLM и SGLang. Также удалось вернуть PCIe Gen4, а для работы NVLink понадобились дополнительная доработка платы и обход проверки прошивки.
В техническом разборе Кейт уточняет, что функции MIG, NVDEC и NVJPG пока не проверены, хотя настройки позволяют их включить. Исследовательница заранее уведомила команду безопасности NVIDIA и опубликовала проект GA100VFI. Успех требует доступа к физическому оборудованию и не означает, что любая майнинговая карта превратится в полноценную A100.
Похожие атаки напряжением уже применяли против процессоров Intel. Теперь под вопросом оказалась и надёжность аппаратных блокировок GPU.
